#DllHijacking

显示全部楼层 · 发表于 2023-8-16 10:27:45

crowdstrike 解压杀dll

显示全部楼层 · 发表于 2023-8-22 09:22:39

ESET现在才分析完

Youdao.exe - Clean
YoudaoCHS.dll - Win64/Agent.CTX trojan
data.dat - Win32/Korplug.VZ trojan (when unpacked)
log.dat - Win64/Injector.KO trojan (when unpacked)

显示全部楼层 · 发表于 2023-8-22 22:19:29

行为: 操作文件
拦截规则: [防漏]写入高危文件(新建)
响应动作: 询问（允许）
最后一次拦截时间: 2023-08-22 22:17:24
拦截次数: 1
进程名称: Youdao.exe
进程路径: C:\Users\Administrator\Desktop\病毒测试\DllHijacking\Youdao.exe
进程命令行: "C:\Users\Administrator\Desktop\病毒测试\DllHijacking\Youdao.exe"
操作目标: C:\ProgramData\Microsoft OneDrive\setup\YoudaoCHS.dll

行为: 操作文件
拦截规则: [防漏]写入高危文件(新建)
响应动作: 询问（允许）
最后一次拦截时间: 2023-08-22 22:17:22
拦截次数: 2
进程名称: Youdao.exe
进程路径: C:\Users\Administrator\Desktop\病毒测试\DllHijacking\Youdao.exe
进程命令行: "C:\Users\Administrator\Desktop\病毒测试\DllHijacking\Youdao.exe"
操作目标: C:\ProgramData\Microsoft OneDrive\setup\Youdao.exe

行为: 设置注册表值
拦截规则: 智能防护(添加开机启动)
响应动作: 询问（允许）
最后一次拦截时间: 2023-08-22 22:17:44
拦截次数: 1
进程名称: dllhost.exe
进程路径: C:\Windows\SysWOW64\dllhost.exe
进程命令行: "C:\Windows\SysWOW64\dllhost.exe"
操作目标: HKEY_USERS\S-1-5-21-1483919265-625996483-2981065774-500\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

[病毒样本] #DllHijacking

本帖子中包含更多资源